| 标准编号 | GB/T 32202.1-2026 (GB/T32202.1-2026) | | 中文名称 | 油气管道安全仪表系统的功能安全 第1部分：评估要求 | | 英文名称 | Functional safety of safety instrumented system in oil and gas pipelines - Part 1: Assessment requirements | | 行业 | 国家标准 (推荐) | | 中标分类 | N10 | | 国际标准分类 | 25.040 | | 字数估计 | 46,475 | | 发布日期 | 2026-05-25 | | 实施日期 | 2026-12-01 | | 旧标准 (被替代) | GB/T 32202-2015 | | 发布机构 | 国家市场监督管理总局、国家标准化管理委员会 | GB/T 32202.1-2026: 油气管道安全仪表系统的功能安全 第1部分：评估要求
GB/T 32202.1-2026 英文版: Functional safety of safety instrumented system in oil and gas pipelines - Part 1: Assessment requirements
ICS 25.040
CCSN10
中华人民共和国国家标准
代替GB/T 32202-2015
油气管道安全仪表系统的功能安全
第1部分:评估要求
2026-05-25发布
2026-12-01实施
国 家 市 场 监 督 管 理 总 局
国 家 标 准 化 管 理 委 员 会 发 布
1 范围
本文件规定了油气管道安全仪表系统的功能安全评估节点、人员、评估机构以及评估管理的总体要
求,以及安全要求评估、设计阶段评估、运维阶段评估各阶段的一般要求、评估依据、评估内容和文档
要求。
本文件适用于油气管道输送、储存系统中安全仪表系统的功能安全评估。
4 缩略语
下列缩略语适用于本文件。
BPCS:基本过程控制系统(BasicProcessControlSystem)
DC:诊断覆盖率(DiagnosticCoverage)
EMI:电磁干扰(ElectromagneticInterference)
EUC:受控设备(EquipmentUnderControl)
FSA:功能安全评估(FunctionalSafetyAssessment)
FVL:全可变语言(FulVariabilityLanguage)
HAZOP:危险与可操作性分析(HazardandOperabilityStudies)
HFT:硬件故障裕度(HardwareFaultTolerance)
LVL:有限可变语言(LimitedVariabilityLanguage)
MOC:变更管理(ManagementofChange)
MPRT:最大允许维修时间(MaximumPermittedRepairTime)
MTTR:平均恢复时间(MeanTimeToRestoration)
PE:可编程电子(ProgrammableElectronic)
PFD:要求时危险失效概率(ProbabilityofDangerousFailureonDemand)
5 总体要求
5.1 评估节点
5.1.1 功能安全评估应贯穿于SIS安全生命周期。根据GB/T 21109(所有部分)以及油气管道SIS安
全生命周期活动(见图1),应在以下节点执行功能安全评估活动。
5.1.2 在设计阶段应完成SIS安全要求评估和SIS设计评估。
5.1.3 对于已开展过功能安全评估的同类型站场或装置可参考采用评估结论,但应作差异分析,并对
差异部分进行评估。
5.1.4 对于改、扩建项目应按照安全生命周期各节点执行功能安全评估活动,对于简单变更应按照第8
章要求执行。发生变更应根据所处的生命周期阶段参照相应章节执行。
5.1.5 在运行和维护阶段,应定期开展FSA以保证维护和操作的执行符合设计预期,并满足GB/T
21109(所有部分)中安全管理和验证的有关要求。
5.2 人员要求
5.2.1 功能安全评估人员独立性水平应满足GB/T 20438.1-2017中8.2的要求。
5.2.2 功能安全评估人员应了解功能安全基础标准GB/T 20438(所有部分)和过程工业领域的应用标
准GB/T 21109(所有部分),并经过培训和考核,取得相应证书。
5.2.3 功能安全评估人员应具备油气管道工程相关经验及相关法律法规知识,以确保评估结果的合理
可信。
5.2.4 评估组内高级资质人员人数不应少于总数的2/3。
注1:评估组只需要满足5.2.1要求,并包括了分别满足5.2.2、5.2.3、5.2.4要求的人员,即符合5.2要求,而不需要评
估组每一成员都同时满足5.2.2、5.2.3、5.2.4要求。
注2:高级资质人员指高级工程师或持有行业权威机构培训证书的人员。
5.2.5 项目设计人员应配合评估人员参与评估活动,设计方宜根据分析需求派出工艺、仪表专业人
员,必要时还需派出电气、消防、总图设计等专业人员,专业经验不少于3年。
5.2.6 被评估方应根据评估需求派出相关专业人员,专业经验不少于3年。
5.3 评估机构
5.3.1 应由具有资质的机构在其资质证书认可的业务范围内从事功能安全评估活动。
5.3.2 评估机构独立性水平应满足GB/T 20438.1-2017中8.2的要求。
5.4 评估管理
5.4.1 评估组织方应成立评估组,并明确各成员的职责和独立性要求。
5.4.2 执行功能安全评估活动的人员和机构应满足5.2、5.3的要求。
5.4.3 评估组应编制功能安全评估计划,计划应包括:
---需要执行功能安全评估活动的生命周期阶段,即功能安全评估的范围;
---在各阶段要求执行的活动;
---参与评估活动的人员、部门、组织或其他单位;
---为完成功能安全评估活动需要的所有资源;
---完成功能安全评估活动应得到的输出;
---功能安全评估小组的技能、职责和权限;
---评估小组的独立水平;
---系统发生修改后,对功能安全评估进行重新确认所使用的方法。
5.4.4 在整个生命周期当中,功能安全评估计划应不断地更新和维护。任何的设备或系统变更都可能
需要附加的功能安全评估活动,以确定是否会产生新的危险。
5.4.5 在进行功能安全评估之前,功能安全评估计划应得到评估组织方的同意。
5.4.6 评估组应根据功能安全评估计划进行功能安全评估管理和开展功能安全评估活动。
5.4.7 评估组织方应向评估组提供SIS的所有相关信息,包括先前执行的功能安全评估的结果、通过
该评估提出的建议以及相应的整改报告。
5.4.8 全部功能安全评估活动都应实现文档化。
5.4.9 评估结束后,评估组应提供评估报告,评估组织方应对此报告进行审查。
5.4.10 评估组织方应对评估建议的实现进程进行跟踪。建议涉及的问题被解决后,评估组织方应组
织开展再确认。
5.4.11 评估结果仅对评估期间的SIS现状有效,一旦SIS作出任何变更,先前的评估结果则不再有
效,但可作为下次评估活动的参考。
5.4.12 用于SIS设计、安装、调试、测试、维护的设备工具及材料的性能和质量,应符合相应SIS的功能
安全要求。
6 安全要求评估
6.1 一般要求
应审查并判断SIS的安全要求规格书的制定、安全功能的提出以及安全完整性等级的确定过程是
否符合功能安全要求。
6.2 评估依据
6.2.1 应采用与实际最符合的评估依据。
6.2.2 评估的基础依据包括:危险分析与风险评估报告、安全要求分配报告、安全要求规格书。必要情
况下,还应包括以上各活动的相关程序文档,以及分析报告中记录的分析和引用资料。
注1:有些时候,这些资料的名字并不固定如上,且文件形式也并不单一。如:采用 HAZOP分析方法开展危险分析
与风险评估,则该报告可为 HAZOP分析报告。
注2:考虑油气管道自身特点,如:距离远、线路长、环境复杂,要注意外部环境及自然灾害可能造成的影响。
6.3 评估内容
6.3.1 对SIS安全要求规格书进行评估
6.3.1.1 SRS应包括安全功能要求和安全完整性要求两方面的内容。SRS可以是一套文件或资料,应
具备可追溯性。
6.3.1.2 SRS中对于SIS要求的表述应清晰、准确、可验证、可维护和切实可行,且易于被在生命周期任
何阶段有可能使用这些信息的人员理解。
6.3.1.4 应对应用程序安全要求进行评估。应用程序安全要求应从SRS和SIS的架构(布局和内部结
构)中推导,可以是SRS中的一部分,也可以是一个独立文档(如应用程序要求规范)。应用程序安全要
求输入信息应包括:
---每个SIF的详细安全要求,包括传感单元表决结构等;
---SIS架构和安全手册提出的要求,如硬件和嵌入式软件的限制和约束;
---安全计划的要求,安全计划编制应符合GB/T 21109.1中的要求;
---各SIF所需的每个可编程SIS设备的应用程序安全要求,其应遵循SIS架构;
---实时性能参数,如(中央处理器)(CPU)容量、网络带宽、有故障时可接受的实时性能,以及一
个特定时间段内接收到的所有连锁信号;
---程序次序和延时(如适用);
---针对异常过程变量(如传感器值超量程、变化率过大、数据无更新、检测到开路/短路)采取的
动作;
---应用程序中执行的外部设备(如传感单元和执行单元)进行检验测试和自动诊断测试的功能;
---应用程序自监测(例如应用驱动的看门狗和数据范围确认);
---对SIS中的其他设备(如传感单元和执行单元)的监测;
---通信接口的要求,包括限制它们使用的措施、数据确认以及接收和传输命令;
---识别和避免由应用程序产生的过程危险状态(如同时关闭两个截断阀可能导致压力波动,从而
导致危险状态);
---定义每个SIF过程变量的确认准则。
6.3.1.5 应对安全完整性要求的以下内容进行评估:
---每个SIF要求的目标SIL等级;
---达到要求的目标SIL等级的诊断要求;
---达到要求的目标SIL等级的维修和检验测试要求;
---如果误动作是不可接受的,对误动作率的要求。
6.3.2 对安全功能要求的提出过程进行评估
6.3.2.1 应开展过一次危险分析与风险评估。
6.3.2.2 开展危险分析与风险评估的过程应符合国家、行业或企业相关标准、规范要求,包括:分析评估
资质、组织管理、实施流程、文档化和发布签署等。
6.3.2.3 应对危险分析与风险评估所依据的资料进行审查。
6.3.2.4 应已评估工艺、设备、设施、人员等方面所有合理可预见的情况,包括故障状况、误用、人员误操
作、异常的EUC运行模式等。
6.3.2.5 应已明确在所有辨识出的合理可预见的情况下,EUC的危险和危险事件。
6.3.2.6 应已明确导致已确定的危险和危险事件发生的事件顺序。
6.3.2.7 应已评估已确定的危险事件的发生频率(或频率等级),频率或频率等级的定义和选择应符合
国家、行业或企业相关标准、规范要求,并具有可信的来源。
6.3.2.8 应已评估已确定的危险事件后果的严重性程度,后果及其严重性等级的定义和选择应符合国
家、行业或企业相关标准、规范要求,并具有可信的来源。
6.3.2.9 应已评估已确定的危险和危险事件相关的事故风险,风险分级准则应符合国家、行业或企业相
关标准、规范要求。
6.3.2.10 应依据明确的风险可容忍标准开展分析评估,该标准应符合国家、行业或企业相关标准、规范
要求。
6.3.2.11 对提出的降低或消除危险和风险的措施,应有明确的实施和追踪的负责人。
6.3.2.12 应开展信息安全风险评估以识别SIS的信息安全漏洞。评估应得出:
---该风险评估所覆盖的设备的描述(如SIS、BPCS或任何其他与SIS连接的设备或系统的识别);
---识别出的威胁描述,这些威胁可能利用漏洞并造成信息安全事件(包括对硬件、应用程序和相
关软件的蓄意攻击,以及人为错误导致的非蓄意事件);
---信息安全事件导致的潜在后果,以及这些事件发生的可能性描述;
---各阶段的考虑,如设计、实现、调试、运行和维护;
---附加风险降低要求的确定;
---对减少或消除威胁而采取的措施的描述或信息的引用。
6.3.2.13 应已详细记录6.3.2.1~6.3.2.12各项活动所分析及引用的资料的名称及版本号。
6.3.2.14 应已详细记录6.3.2.1~6.3.2.12各项活动内容,形成文档,并由相关责任人签署。
6.3.3 对安全完整性要求的提出过程进行评估
6.3.3.1 安全要求分配应在开展过一次危险与风险分析后展开。
6.3.3.2 安全要求分配应包括安全功能要求分配和安全完整性要求分配。
6.3.3.3 开展安全要求分配的过程应符合国家、行业或企业相关标准、规范要求,包括:分析评估资质、
组织管理、实施流程、文档化和发布签署等。
6.3.3.4 应对安全要求分配所依据的资料进行审查。
6.3.3.5 应明确分析使用的风险可容忍标准,且风险可容忍标准至少应满足国家相关要求。
6.4 文档要求
6.4.1 SIS安全要求评估报告应为功能安全评估报告的一部分。
6.4.2 SIS安全要求评估报告应结构清晰、表述准确、无歧义,并可追溯。
6.4.3 项目背景
应包括立项意义、任务由来、项目概况等相关内容。
6.4.4 评估依据
应列出评估项目所引用的法律法规、技术规范和标准、基础技术资料名称等相关信息。
6.4.5 评估目的
应明确描述评估目的。
6.4.6 评估范围和内容
应明确描述评估的范围和内容。
6.4.7 评估方法
根据项目的特点,应明确表达采用的评估方法。
6.4.8 评估过程
应明确描述评估工作过程,包括评估程序、工作进度、参加人员等,可用图、表、文字描述等方式
表述。
6.4.9 评估结论与建议
应根据6.3中所述内容的评判结果,给出对站场工艺、设备等的危险与风险分析结论、SIF的完整
性结论、SIS安全要求的完整性结论等,并指出存在的问题,提出有针对性的建议。
6.4.10 附件
6.4.10.1 评估工作表
应给出评估工作过程中生成的调研表、分析记录表等。样表见附录A。
6.4.10.2 评估软件工具的采用
应明确评估或测试所用软件或辅助工具的名称、型号、软件版本号、出品公司、功能说明,以及在本
项目中的使用情况。
6.4.10.3 其他资料
应给出评估工作所依据的必要资料,如分析图纸、评估准则来源、分析评估假设及来源等。
7 设计阶段评估
7.1 一般要求
应审查并判断SIS的设计是否符合SRS。
7.2 评估依据
7.2.1 评估依据应准确、可靠。
7.2.2 应提供但不限于以下所列资料:
---SRS;
---SIS安全要求评估报告及整改报告;
---设计说明书;
---操作原理;
---设备汇总表;
---供应商能提供的设备SIL认证资料或以往使用证明材料;
---设计过程中做的SIL评估报告。
7.3 评估内容
7.3.1 SIS执行功能评估
7.3.1.1 当SIS既执行SIF又执行非SIF时,在正常和故障条件下,对任何SIF有负面影响的所有硬
件、嵌入式软件和应用程序均应被当成评估的一部分考虑进来,并应符合其可能影响的SIF中最高的
SIL要求。在SIS实现不同SIL的SIF时,评估时应确认共享或共用硬件、嵌入式软件和应用程序至少
符合最高SIL。
7.3.1.2 SIS应被设计成一旦其将过程置于某个安全状态,除非SRS另有规定,过程应保持在该安全状
态直至SIS被复位。
7.3.1.3 应设置与逻辑解算器无关的手动机制(如紧急停车按钮)来触发SIS最终元件的连锁动作,除
非SRS另有规定。在SIS控制器SIL能力高于SIF的SIL至少一个等级时,手动机制可通过SIS控制
器实现。
7.3.1.4 所有用于SIF的通信应使用适用于功能安全应用的技术,且满足要求的SIL,具体要求见
GB/T 34040。
7.3.2 独立性评估
7.3.2.1 SIS设计应全面考虑SIS和BPCS之间,以及SIS和其他保护层之间的独立性和相关性。
7.3.2.2 一个设备用于BPCS时,不应同时用于SIS,因为这个设备失效将导致对SIF的要求和该SIF
的危险失效。除非分析后可确认整体风险是可接受的。
7.3.3 可操作性评估
7.3.3.1 应评估SIS可操作性是否符合SRS,并在设计文件中明确相关要求。
7.3.3.2 应提供安全手册,手册内容应涵盖在设备的预期配置和预期运行环境下,SIS相关的运行、维
护、故障检测和约束。
7.3.4 可维修性评估
应评估SIS可维修性是否符合SRS要求,并在设计文件中明确相关要求。需要在线维护的系
统,需考虑到旁路设施并明确设置要求。
注:旁路设施的设置要求一般包括:在维持过程安全运行前提下允许SIS处于旁路状态(维修或测试)的最大时间、
旁路相关警示设置、补偿措施、如何设置和消除旁路等。
7.3.5 可测试性评估
应评估SIS可测试性是否符合SRS要求。需要在线检验测试的系统,需考虑到旁路设施并明确设
置要求。
7.3.6 方便易用性评估
为了保证在运行阶段能够维持SIL能力,需考虑人的能力和限制;应审查SIS的设计是否适合于分
派给操作员和维护人员的任务。所有的人-机接口设计应遵循良好的人员操作惯例,并适合操作员可接
受的培训或认知水平。
注:例如,如果操作时要求经常进行限值数据输入或其他操作员输入,那么需要进行人因分析。
7.3.7 SIS信息安全评估
SIS的设计应针对识别出的信息安全风险提供必要的防护能力。
7.3.8 硬件故障裕度(HFT)评估
8 运维阶段评估
8.1 一般要求
应定期对SIS的运行和维护状况进行全面和系统性的评审,确保SIS的功能安全水平持续符合设
计要求:
---SIS修改或停用实施前,应开展复审;
---可能对SIS产生影响的工艺、设备等的修改实施前,应开展复审;
---同类生产设施或本生产设施如果出现与功能安全管理体系有关的严重安全事故或发现明显的
SIS设计缺陷,应开展复审活动;
---国家或行业有新的规定或标准规范发布,并有审查要求时,应开展复审;
---工艺/安全仪表系统每运行3年~5年应进行周期性复审。
8.2 评估依据
应提供但不限于以下所列材料:
---SIS运行维护及测试记录;
---失效数据统计;
---SIS变更文件或变更资料;
---工艺、设备变更文件或变更资料;
---事故调查报告;
---以往的功能安全评估报告、复审报告等。
8.3 评估内容
8.3.1 应对下面的项目进行审查评判:
---SIS的设计,以及运行和维护状况是否符合国家和企业的最新标准和规范要求;
---SIS的操作规程、维护规程、备品备件管理,以及......
英文网页English: GB/T 32202.1-2026相关标准: |